Lyhyesti: Jos WordPress-sivustonne näyttää vierasta sisältöä, ohjaa muualle tai on yhtäkkiä hidas, olettakaa pahin ja ottakaa yhteyttä nyt. Otamme tilanteen hoitoon ensimmäisestä viestistä alkaen: jäljet talteen, tunnukset kiinni, takaovien etsintä, sivuston puhdistus ja tapauksen dokumentointi. Kaikki etänä, ilman matkustamista.
Älkää nyt poistako mitään äläkä asentako palvelinta uudelleen. Se, joka poistaa lisäosia tai palauttaa varmuuskopion ennen varmistusta, tuhoaa murron jäljet. Koskeeko tämä teitä? Soittakaa tai kirjoittakaa WhatsAppilla tai käyttäkää suoraan hätätilanteen ilmoitusta.
Onko WordPressiinne murtauduttu?
WordPressiin kohdistuva hyökkäys ei aina paljastu. Nämä merkit viittaavat vaarantumiseen:
- kävijät ohjataan vieraille sivuille, mainoksiin tai valekauppoihin, usein vain matkapuhelimella tai hakukoneista tullessa
- Googlessa näkyy nimissänne sivuja, joilla on lääke-, uhkapeli- tai vieraskielistä tekstiä, ks. SEO-roskaposti Googlen hakemistossa
- hallintapaneelissa on ylläpitäjiä, joita kukaan ei ole luonut, tai salasanoja ei yhtäkkiä voi enää palauttaa
- kansiossa
wp-content/uploadson.php-tiedostoja, joilla ei pitäisi olla siellä mitään asiaa (näin tulkitsette tällaiset löydöt) - lisäosia tai teemoja ilmestyy, joita ette ole koskaan asentaneet, tai ne katoavat itsestään
- hosting-yrityksenne ilmoittaa roskapostin lähetyksestä, suuresta kuormituksesta tai estää sivuston
- selain tai Google näyttää varoituksen sivustostanne
Lisää palvelintason merkkejä löytyy sivulta Olenko jo vaarantunut?.
Mitä teette heti
- Siirtäkää sivusto huoltotilaan tai pois verkosta, jos kävijät ovat vaarassa. Jättäkää tiedostot samalla muuttamattomiksi.
- Älkää poistako lisäosia älkääkä tiedostoja. Ei myöskään lisäosia, jotka vaikuttavat epäilyttäviltä.
- Pyytäkää lokien varmistusta: Pyytäkää hosting-yritystänne olemaan päällekirjoittamatta käyttö- ja virhelokeja. Alan lehdistö neuvoo säilyttämään palvelinlokit 20.10.2026 alkaen.
- Kootkaa tunnukset: Kenellä on WordPressin ylläpito, FTP, SSH, hosting-paneeli ja tietokanta? Kirjatkaa ne, mutta vaihtakaa salasanat vasta sovittuaan ja puhtaalta laitteelta.
- Tarkistakaa sähköpostilaatikot: WordPressiin ylläpitäjän osoitteeksi merkittyä tiliä voidaan käyttää salasanojen palauttamiseen.
- Tiedottakaa osapuolille: johto, tietosuojavastaava ja tarvittaessa vakuutusyhtiö.
- Ottakaa yhteyttä meihin, ennen kuin puututte asiaan enempää itse.
Miten PHP SOS auttaa murrettuun WordPress-sivustoon?
- Tilanteen kartoitus: Selvitämme, mitä näette, mitkä lisäosat ja teemat ovat käytössä, kenellä on ollut pääsy ja missä palvelin sijaitsee.
- Varmistus ja sulkeminen: Tiedostot, tietokanta ja lokit varmistetaan, epäilyttävät tunnukset estetään ja sivusto eristetään tarvittaessa.
- Tarkistus ja puhdistus: Vertaamme ydintiedostoja alkuperäisiin (miten se tehdään, selittää tämä kirjoitus), etsimme takaovia lisäosista, teemoista, upload-kansioista ja tietokannasta ja poistamme ne. Toimintatapa vastaa palveluamme Haittaohjelmien ja web shellien poisto.
- Koventaminen ja raportointi: PHP:n tila, oikeudet, ylläpidon suojaus ja päivitykset tarkistetaan. Saatte raportin, jossa on aikajana, löydöt ja suositukset.
WordPress-päivitys PHP2Shelliä vastaan: miksi se ei riitä
Moni ylläpitäjä uskoo, että uusimmalla WordPress-versiolla kaikki on kunnossa. Se ei pidä paikkaansa. PHP2Shell, eli CVE-2026-109618 ja CVE-2026-109619, on PHP-tulkissa, jolla WordPress toimii. Korjattu se on versioissa PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Dr. Webin mukaan WordPress.org ei suunnittele siihen omaa päivitystä. Ratkaisevaa on palvelimenne PHP-ajoympäristö; lisää aiheesta kirjoituksessa Miksi WordPress-päivitys ei auta ja sivulla WordPress ja PHP2Shell.
Samoin pätee: PHP-korjaus ei poista jo lisättyä haittakoodia. Molemmat on tarkistettava yhdessä.
Takaovet WordPressissä: missä ne piilottelevat
Hyökkääjät jättävät pääsyoikeuksia mielellään paikkoihin, joihin harvoin katsotaan: Mu-lisäosiin, teemojen tiedostoihin kuten functions.php, kuvakansioihin kaksoistiedostopäätteillä, taulukkoon wp_options tai WordPressin ajastettuihin tehtäviin. Yksityiskohdat ja tarkistustavat löydätte sivulta Takaovien löytäminen WordPressistä. Puhdistuksen jälkeen jokainen ylläpitäjän pääsy kannattaa suojata kaksivaiheisella tunnistautumisella.
Jos Google tai selain merkitsee sivustonne vaaralliseksi, poistamme ensin syyn ja tuemme sen jälkeen uudelleentarkistuksessa. Toimintatavan kuvaa Googlen varoituksen poisto.
Miten vapautamme sivuston uudelleen
WordPress-sivusto palaa verkkoon vasta, kun ydintiedostot, lisäosat ja teema on tarkistettu, tunnukset ja avaimet asetuksissa on uusittu eikä epäilyttäviä käyttäjiä enää ole. Sen jälkeen tarkistamme julkisen sivuston kävijän näkökulmasta, myös matkapuhelimella, koska jotkin uudelleenohjaukset ilmenevät vain siellä. Sen jälkeen suosittelemme tiukempaa valvontaa seuraavien viikkojen ajaksi. Lupausta, ettei sivustoon hyökätä enää koskaan, ei ole, mutta dokumentoitu, tarkistettu tila on.
Mitä teidän kannattaa lähettää meille
- sivuston osoite ja, jos tiedossa, hosting-yritys
- mistä lähtien ja mistä huomasitte jotain poikkeavaa
- kuvakaappaukset varoituksista, uudelleenohjauksista tai vieraista ylläpitäjätileistä
- luettelo lisäosista ja teemasta, siltä osin kuin tiedossa
- viimeisimmän varmuuskopion tila
Tunnuksia ei kannata lähettää sähköpostilla pyytämättä; sovimme turvallisesta tavasta kanssanne.
Miksi PHP SOS
Työmme on Saksassa tehtyä (Made in Germany), ja olemme yli 25 vuoden ajan erikoistuneet tietoturvaan kumppaniverkostomme kyberammattilaisten kanssa. Teillä on yksi yhteyshenkilö, joka kulkee tapauksenne mukana ensimmäisestä viestistä päätökseen asti. Työskentelemme etänä kaikkialla Saksassa ja Euroopassa, dokumentoimme jokaisen vaiheen ja lupaamme vain sen, minkä voimme pitää: työskentelemme, kunnes tapaus on käsitelty loppuun ja dokumentoitu. Jos henkilötiedot voivat olla vaarantuneet, raportti auttaa myös GDPR-ilmoituksessa; oikeudellinen arvio jää tietosuojavastaavallenne. Kokonaispalvelun kuvaa sivu Verkkosivusto murrettu: hätäapu.
Koskeeko tämä teitä? Soittakaa. Autamme.
Jos WordPress-sivustonne käyttäytyy epäilyttävästi, älkää odottako seuraavaa poikkeamaa. Ottakaa yhteyttä nyt, puhelimitse tai WhatsAppilla, niin otamme tilanteen hoitoon ensimmäisestä viestistä alkaen. Ilmoittakaa hätätilanne nyt
Usein kysytyt kysymykset
Riittääkö, että päivitän WordPressin ja kaikki lisäosat, jos sivusto on murrettu?
Ei. Päivitys sulkee aukkoja tulevaisuuden varalta, mutta ei poista takaovea, joka on jo palvelimella. Lisäksi: PHP2Shell-haavoittuvuus on PHP-tulkissa, ei WordPressissä. Raporttien mukaan WordPress.org ei suunnittele siihen omaa päivitystä.
Voinko palauttaa vanhan varmuuskopion ja olla valmis?
Vain varoen. Jos murron ajankohtaa ei tiedetä, saatetaan palauttaa jo saastuneita tiedostoja. Lisäksi sisäänkäynti pysyy auki, jos kukaan ei ole löytänyt sitä. Ensin varmistus, sitten arviointi, sitten palautus.
Mistä tunnistan näkymättömän ylläpitäjätilin WordPressissä?
Joitakin tilejä ei näytetä käyttäjäluettelossa, koska haittakoodi suodattaa tulosteen. Vertailu suoraan tietokannassa ja tuttuihin henkilöihin näyttää enemmän. Se kuuluu puhdistukseen, jonka hoidamme.
Miksi haittakoodi ilmestyy poistamisen jälkeen yhä uudelleen?
Silloin on yleensä toinen takaovi tai mekanismi, joka lataa tiedostoja uudelleen, esimerkiksi ajastettu tehtävä tai manipuloidut tiedostot epätavallisissa kansioissa. Se, joka poistaa vain näkyvät oireet, taistelee merkkiä vastaan eikä syytä.
Mitä se maksaa, jos Google merkitsee WordPress-sivustoni vaaralliseksi?
Se riippuu laajuudesta ja työmäärästä, ja sen voi sanoa vasta ensiarvion jälkeen. Järkevää on poistaa ensin syy ja pyytää sitten Googlelta uudelleentarkistusta.